Microsoft Office Outlook: Pufferüberlauf im Stack ermöglicht Remote Code Execution
Zusammenfassung
Ein Stack-based Buffer Overflow (CWE-121) in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer aus dem Netzwerk, Code auszuführen. Gemäss CVSS-Vektor sind keine Berechtigungen nötig, aber eine Benutzerinteraktion; bei Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit vollständig betroffen. Der genaue Auslöser und ob das Vorschaufenster ein Angriffsvektor ist, sind nicht verifiziert.
Betroffen
- Microsoft 365 Apps for Enterprise: ab 16.0.1 bis zum korrigierten Build (genaue obere Grenze nicht verifiziert)
- Microsoft Office LTSC 2021: 16.0.1 bis unter 16.0.14334.20974 (nicht verifiziert)
- Microsoft Office LTSC 2024: 16.0.0 bis unter 16.0.17932.21056 (nicht verifiziert)
- Weitere Kanäle aus den Versionshinweisen von Microsoft (Office 2019, Office 2024): Unbekannt
Behoben in
- Das Microsoft-Office-/Outlook-Sicherheitsupdate von Oktober 2026 installieren (siehe MSRC-Advisory).
- Exakter korrigierter Build pro Kanal: Unbekannt. Vor dem Rollout in der MSRC-Versionstabelle prüfen.
Umgehung
- Kein Outlook-spezifischer Workaround des Herstellers gefunden.
- Übergangsmassnahme (eigene Empfehlung, keine Herstellermassnahme): Mail-basierte und linkbasierte Köder am Mail-Gateway einschränken und Benutzer schulen, unerwartete Links und Anhänge zu meiden.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA KEV aufgeführt.
- CISA-SSVC-Daten im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
- Einschätzung von Microsoft laut Drittquelle: nicht öffentlich bekannt oder ausgenutzt, eingestuft als Exploitation Less Likely (nicht auf MSRC verifiziert).
- Kein öffentlicher Proof of Concept gefunden. EPSS: Unbekannt.
Unsere Empfehlung
- Alle Outlook-Clients im Oktober-2026-Updatezyklus patchen; nicht auf Anzeichen einer Ausnutzung warten.
- Outlook-Build auf jedem Client mit der MSRC-Versionstabelle abgleichen.
- Sicherstellen, dass Microsoft-365- und LTSC-Installationen aktuell sind, und Clients mit älteren Office-Builds finden.
- Prüfen, ob neues Outlook (webbasiert) betroffen ist: Unbekannt.
- MSRC-Advisory und CISA KEV auf Änderungen prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-97012 msrc.microsoft.com
- Microsoft 365 Apps security updates learn.microsoft.com
- Robert 365: Latest updates for classic Outlook robert365.com
- OpenCVE: CVE-2026-97012 app.opencve.io
- Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
- Strix: CVE-2026-97012 www.strix.ai
- Vulners: CVELIST CVE-2026-97012 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.